Expériences dans les collectivités s publiques

Transcription

1 GOVERNMENT Les outils pour mettre en place le management du risque Expériences dans les collectivités s publiques AUDIT Alain Guillaume Senior manager Neuchâtel Septembre 2006

2 Sommaire 1. La gestion des risques dans le contexte suisse 2. Outils de gestion des risques 3. Particularités s des collectivités s publiques en matière de gestion des risques 4. La gestion des risques informatiques 5. Autres apports de la gestion des risques 2

3 1. La gestion des risques dans le contexte suisse 3

4 Le contexte suisse Art. 663b CO (complété) «L annexe contient les informations suivantes : 12. des informations s sur la réalisation d une d évaluation du risque». L importance d une d bonne gestion des risques au sein des entreprises est reconnue par le législateurl La plupart des grandes sociétés s cotées en Suisse ont mis en place une structure de gestion des risques les autres suivent 4

5 Le contexte suisse Les collectivités s publiques sont soumises elles aussi à des considérations de bonne gouvernance : L importance d une d bonne gestion des risques au sein des collectivités publiques est reconnue La plupart des collectivités s publiques suisses considèrent que la gestion des risques est du ressort de la révision r interne 5

6 La gestion des risques et le contrôle interne comme éléments intégrés de la gouvernance d entreprise Environnement Corporate Governance Surveillance Direction Assurance Système de contrôle interne Révision interne Gestion des risques Gestion de la qualité 663b CO 728a CO Révision externe En référence à: Münzel/Jenny Riskmanagement für kleine und mittlere Unternehmen 6

7 2. Outils de gestion des risques Un exemple 7

8 Enterprise Risk Management Gestion des risques d entreprise Enterprise Risk Management (ERM) est une solution basée e sur une méthodologie éprouvée e qui aide à définir et mettre en place une approche structurée e au niveau de l organisation l pour identifier, évaluer et gérer g les risques de manière efficace et à un coût t supportable 8

9 Processus ou contenu Création de contenu Mettre en évidence vos risques en mettant à profit les éléments de gestion des risques existants Création d un processus Construire et maintenir un processus dynamique de gestion des risques 9

10 En pratique, qu est-ce qui nous est demandé? ERM inclut de nombreuses activités, au travers de modèles conceptuels, pour intégrer et coordonner les activités s de gestion des risques et de contrôle dans toute l organisationl Contenu Améliorer la qualité et la comparabilité des informations en matière de gestion des risques Redéfinir et consolider des évaluations des risques existants pour obtenir une vue d ensemble au niveau de l organisationl Intégrer des informations de toutes les branches qui traitent de la gestion des risques Présenter l information l relative à la gestion des risques de manière compréhensible et transparente 10

11 En pratique, qu est-ce qui nous est demandé? ERM inclut de nombreuses activités, au travers de modèles conceptuels, pour intégrer et coordonner les activités s de gestion des risques et de contrôle dans toute l organisationl Processus Améliorer durablement le processus de gestion des risques Lier les activités s de contrôles aux risques d entreprise d Mettre en place de nouveaux processus de gestion des risques transversaux Apporter une méthodologie m / des outils pour faciliter la mise en place de la gestion des risques 11

12 Cadre conceptuel Notre cadre conceptuel se compose de cinq éléments : Elément Gouvernance des risques Evaluation des risques Description Mise en place d une approche pour développer, soutenir et diffuser la stratégie de gestion des risques et les responsabilités Identification, évaluation et catégorisation des risques dans toute l organisation (approche transversale) Mesure des risques Mesure, analyse et consolidation des risques de l organisation Suivi et reporting des risques Reporting, suivi et activités de contrôle effectués pour fournir des informations sur les forces et les faiblesses de la gestion des risques Optimisation des risques et contrôles Utilisation des informations sur les risques et les contrôles pour améliorer la performance de l organisation en matière de gestion des risques 12

13 Le coeur de notre solution est la notion de maturité ERM n est n pas une solution prêt-à-porter.. La clé est de déterminer d le degré de maturité qui convient à l organisation Elément du cadre conceptuel BASIQUE Respecter les lois et règlements MATURE Un processus directionnel AVANCE Un outil stratégique Gouvernance des risques Principes de gestion des risques centralisés Une structure de gestion des risques avec des responsabilités claires La gestion des risques est intégr grée e dans la mesure de la performance Evaluation des risques Evaluation annuelle des risques avec une analyse limitée Analyse des risques régulir gulière et intégr grée e dans le reporting Les activités s de gestion et contrôle des risques sont intégr grés s dans les activités opérationnelles Mesure des risques Quantification de risques sélectionnés Quantification des risques opérationnels; quantification anticipée e de risques sélectionns lectionnés Cumul des risques au travers de toute l organisationl Suivi et reporting des risques Optimisation des risques et contrôles Reporting des risques destiné à fournir l information l requise Moins de surprises grâce à la gestion des risques clés Reporting complet au Conseil d adm.. et au Comité d audit sur les niveaux de risques existants et les risques futurs Renforcement de la confiance des stakeholders et amélioration des stratégies de réduction r des risques Alignement de tous les reporting sur le risque pour donner une vision d ensemble d des risques La stratégie, l él évaluation de la performance et l allocation l des ressources sont ajustées aux risques 13

14 Une approche simple à comprendre Quatre étapes Développer une information de qualité sur les risques 1. Planification Contenu Processus 2. Evaluation du profil de risque actuel Contenu Processus Construire un processus de gestion des risques durable 3. Evaluation du processus de gestion des risques existants Contenu 4. Définition des objectifs et d un plan d actions Processus Contenu Processus 14

15 Evaluation ERM : 1 ère étape 1. Planification Contenu Définir la structure du projet, le planning et la documentation Se mettre d accord sur le catalogue des risques, les catégories et les critères Développer des fiches d information Rassembler les informations et la documentation existantes Processus Documentation : Planning du projet détailld taillé Définitions des risques, des catégories, des critères res de classement, etc. Fiches d information d sur le projet 15

16 Evaluation ERM : 2 e étape 2. Evaluation du profil de risque actuel Contenu Conduire les entretiens sur les risques Identifier, cumuler et analyser les risques Conduire des séances pour valider et classer les risques Conduire l analyse de sensibilité Se mettre d accord sur le profil de risque actuel Processus Documentation : Profil de risque Analyse de sensibilité Analyse des activités s de gestion des risques 16

17 Exemple de documentation : Profil de risque Catastrophic 3j # 1 3j Top 10 Risks Loss of building, together with key staff or technology infrastructure Risk Consequence Major Moderate Minor Insignificant 3a 1d 1e 3f 4d 4g 2b 4b 3c 3b 1b 3h 5c 3g 4e 1f 4f 1a 2a 2c 3e 4c 4j 4i 4h 3d 5a 5b (Random Plotting) 1c Sample Risks 4a 3i c Adverse changes in law and government affecting the company s business model 5a Loss of market share or revenue through competition or regulation 5b Introduction of competing products and technologies by other companies 5c Inability to attract and retain key employees 1b Failure to develop global management and information systems 4d Exposure to litigation related to the company s products/services Remote Unlikely Possible Likely Almost certain Likelihood of Risk Occurrence 8 9 3h Deficient products/services provided, resulting in loss of reputation 4a Inability to react to changes in overseas legal, economic, or regulatory environment 10 3i Increased pricing pressure from competitors and/or customers 17

18 Exemple de documentation : Utiliser l information sur la gestion des risques pour planifier l activité de contrôle interne SAMPLE 18

19 Evaluation ERM : 3 e étape 3. Evaluation du processus de gestion des risques existant Contenu Conduire des entretiens sur le processus de gestion des risques Analyser le processus et positionner l organisation en terme de maturité Conduire des séances pour valider l évaluation et le positionnement Se mettre d accord sur l évaluation Processus Documentation : Evaluation du processus de gestion des risques existants Observations et recommandations 19

20 Evaluation de la maturité en matière de gestion des risques : Définir l état actuel et souhaité Une base de travail pour se poser les bonnes questions Risk Maturity Continuum Today Target: Basic Remain in Compliance Mature A Management Process Advanced A Strategic Tool Risk Governance Risk Assessment Risk Quantification & Aggregation Risk Monitoring & Reporting Risk & Control Optimization Example Et une approche sur mesure, incluant : Un plan de travail pour la mise en place des améliorations en matière de gestion des risques L expression claire du niveau de maturité souhaité par l organisationl 20

21 Evaluation ERM : 4 e étape 4. Définition des objectifs et d un plan d actions Contenu Revoir et confirmer le profil de risques existants et le processus de gestion des risques Conduire des séances pour identifier le niveau souhaité (profil et processus) Participer à la définition des priorités et du plan d actions Préparer la documentation Processus Documentation : Evaluation de l él état actuel et souhaité du profil des risques et du processus de gestion des risques Observations et recommandations Priorités s et plan d actions d pour la mise en place 21

22 Le profil de risque peut être utilisé pour définir des priorités dans les propositions d amélioration Priorisation en utilisant des facteurs tels que rapidité,, impact sur les coûts et la qualité et l aml amélioration de l efficacitl efficacité des processus opérationnels NIVEAU D EFFORT Elevé Bas Amélioration no 4 Ne pas faire Faire absolument Pas nécessaire Quick wins Amélioration no 5 Amélioration no 2 Elevé IMPACT SUR LA REDUCTION OU L OPTIMISATION DES RISQUES Amélioration no 1 Amélioration no 3 Quels sont les avantages potentiels? Que faire en premier? Comment mettre en place chaque proposition? Quel est l avis l de la direction? Définir les étapes 22

23 Eléments clés pour la réussite d un projet ERM Implication de la direction qui doit soutenir le projet activement Approche coordonnée top-down Définir le cadre de travail puis nommer le responsable du projet Passer du temps sur la formation : N a a pas besoin d être d très s long Doit être complète au niveau de la direction et du conseil d administration 23

24 3. Particularités des collectivités publiques en matière de gestion des risques 24

25 Particularités des collectivités publiques en matière de gestion des risques Les collectivités s publiques effectuent des tâches : très s diverses dans un environnement complexe avec des ressources limitées Les responsabilités s en matière de gestion des risques ne sont souvent pas clairement attribuées Le législatif l réagit r mais anticipe peu 25

26 La gestion des risques et le contrôle interne comme éléments intégrés de la gouvernance d une collectivité publique Environnement Conseil d Etat Corporate Governance Assurance Electorat Système de contrôle interne Révision interne Gestion des risques Gestion de la qualité Grand-conseil? Commission? En référence à: Münzel/Jenny Riskmanagement für kleine und mittlere Unternehmen 26

27 Particularités des collectivités publiques en matière de gestion des risques Les réponses r / nos expériences : Des évaluations de risques (profil de risques) commencent à être réalisées au niveau des départements d ou des directions Gestion des risques fractionnée e (au niveau des services) car activités très s diverses Pas de reporting global des risques Pas de gouvernance des risques 27

28 Particularités des collectivités publiques en matière de gestion des risques Les réponses r / nos expériences (suite) : La révision r interne (contrôle interne) effectue une analyse des risques (financiers) lors de ses vérificationsv La plupart des collectivités s publiques considèrent que la gestion des risques est du ressort de la révision r interne celle-ci ci a-t-elle a les compétences et les ressources disponibles? Elle utilise cette analyse pour la planification de son travail (plan pluri- annuel) Pas de «consolidation» des risques, ni souvent de quantification des impacts La révision r interne teste régulir gulièrement le contrôle interne donc vérifie v le bon fonctionnement de certains contrôles internes destinés à réduire certains risques Recours fréquent à la délégation d de tâches à des entités semi-autonomes qui gèrent g leurs risques elles-mêmes 28

29 Le coeur de notre solution est la notion de maturité ERM n est n pas une solution prêt-à-porter.. La clé est de déterminer d le degré de maturité qui convient à l organisation Elément du cadre conceptuel BASIQUE Respecter les lois et règlements MATURE Un processus directionnel AVANCE Un outil stratégique Gouvernance des risques Principes de gestion des risques centralisés Une structure de gestion des risques avec des responsabilités claires La gestion des risques est intégr grée e dans la mesure de la performance Evaluation des risques Evaluation annuelle des risques avec une analyse limitée Analyse des risques régulir gulière et intégr grée e dans le reporting Les activités s de gestion et contrôle des risques sont intégr grés s dans les activités opérationnelles Mesure des risques Quantification de risques sélectionnés Quantification des risques opérationnels; quantification anticipée e de risques sélectionns lectionnés Cumul des risques au travers de toute l organisationl Suivi et reporting des risques Optimisation des risques et contrôles Reporting des risques destiné à fournir l information l requise Moins de surprises grâce à la gestion des risques clés Reporting complet au Conseil d adm.. et au Comité d audit sur les niveaux de risques existants et les risques futurs Renforcement de la confiance des stakeholders et amélioration des stratégies de réduction r des risques Alignement de tous les reporting sur le risque pour donner une vision d ensemble d des risques La stratégie, l él évaluation de la performance et l allocation l des ressources sont ajustées aux risques 29

30 4. La gestion des risques informatiques 30

31 La gestion des risques informatiques Les processus fonctionnels sont fortement dépendants d des systèmes d information Tendance au regroupement des services informatiques La plupart des administrations cherchent à faciliter l accl accès s aux informations via internet (guichet informatique) Certaines informations sont confidentielles (loi sur la protection on des données) 31

32 La gestion des risques informatiques Principaux risques informatiques : Organisation et efficience du département d informatique en charge de supporter les systèmes en termes de ressources et de compétences et notamment si ce service est partagé entre plusieurs entités s (ville, canton, école, hôpitaux ) Adéquation des systèmes en place vis-à-vis des besoins fonctionnels des utilisateurs (environnement complexe, interfaces manuelles ) Support aux utilisateurs et gestion des problèmes non efficient car soit délocalisd localisé soit partagé 32

33 La gestion des risques informatiques Principaux risques informatiques (suite) : Contrôles informatiques en terme de sécurits curité,, de continuité et de monitoring des systèmes (séparation des tâches, accès ) Manque de communication (départs ou changement de fonction) Priorisation,, gestion des projets internes et des changements peu claire 33

34 La gestion des risques informatiques Domaines clés Gouvernance de l ITl Sécurité des systèmes et des informations Continuité des systèmes et plan de secours Gestion des changements et des développementsd Assurance que les données sont intègres, fiables et confidentielles Assurance que les contrôles en place sont en adéquation avec les meilleures pratiques, standards et législation en vigueur 34

35 La gestion des risques informatiques Outils de gestion des risques Méthodologie de gestion des risques opérationnels (ERM) Audit informatique (interne ou externe) Standards ISO 1799/27001 pour les aspects sécurité CoBit NAS 402 pour les services outsourcés Avoir une bonne connaissance des risques et des enjeux pour adopter des contrôles efficients 35

36 5. Autres apports de la gestion des risques Un exemple 36

37 Autres apports de la gestion des risques GESORBE gestion intégr grée e de la plaine de l Orbel Groupe de travail multidisciplinaire Sélection entre plusieurs variantes possibles Calcul des impacts potentiels des débordements d de cours d eau d en termes financiers Evaluation des scénarios en terme de rapport réduction r du risque / coût des travaux 37

38 Autres apports de la gestion des risques GESORBE méthodologie Estimation des dégâts d potentiels : Méthodologie OFEV Surfaces utilisées * valeur des biens Avant et après s mesures proposées Estimation du coût t des travaux : Calculés s par les différents groupes d éd études Calcul du ratio d efficacitd efficacité : Si réductions r des dégâts d potentiels > coût t des travaux => efficacité économique 38

39 Autres apports de la gestion des risques GESORBE Illustration des résultatsr 80,000,000 70,000,000 60,000,000 50,000,000 40,000,000 30,000,000 20,000,000 10,000,000 0 Talent / Thielle Bey / Mujon Sanitaire Nozon / Orbe Oriental Coûts Impacts positifs 39

40 Discussion 40

41 Contacts Alain Guillaume Senior manager KPMG Fides Peat Rue du Seyon Neuchâtel Tél Mobile Fax aguillaume@kpmg.com Armin Haymoz Sous-directeur KPMG Fides Management AG Hofgut 3073 Guemligen-Berne Tél Mobile Fax ahaymoz@kpmg.com 41